nihaopaul/forward-auth

镜像概述

本Docker镜像提供一个NodeJS服务的Proof of Concept（POC），用于将Traefik的forward-auth机制与Cloudflare Zero Trust集成，实现对Traefik管理服务的安全访问控制。支持Traefik 2.x和3.x版本，配置通过环境变量实现，且利用Cloudflare API自动刷新证书（每24小时）和AUD（每小时）。

核心功能

• 通过Cloudflare Zero Trust认证Traefik请求
• 兼容Traefik 2.x与3.x版本
• 环境变量配置，便于Docker化部署
• 自动刷新证书（24小时间隔）和AUD（1小时间隔）

使用场景

• 为Traefik管理的服务（如仪表盘、API）添加Cloudflare Zero Trust认证
• 验证Cloudflare Zero Trust与Traefik forward-auth集成的POC场景

配置说明

前置准备

创建Cloudflare只读API Token，权限需包含：Account > Access: apps and policies > Read。

环境变量配置

CF_TOKEN=你的Cloudflare API Token
CF_ORG=你的Cloudflare组织ID（从仪表盘URL获取：https://dash.cloudflare.com/{ORG ID}）
CF_DOMAIN=https://你的团队域名.cloudflareaccess.com（在Cloudflare Zero Trust中配置）

Traefik配置示例

1. 定义forward-auth中间件（auth.yml）

yaml
http:
  middlewares:
    test-auth:
      forwardAuth:
        address: "http://IP:PORT/auth"

2. 应用中间件到路由（如Traefik仪表盘）

yaml
http:
  routers:
    dashboard:
      rule: Host(`你的域名`)
      service: api@internal
      middlewares:
        - test-auth
      entryPoints:
        - "websecure"